HIPAA OCR: การละเมิด 725 ครั้ง บันทึก 275 ล้านรายการ
อัปเดตสำหรับปี 2026
สำนักงานสิทธิพลเมือง HHS (OCR) นับการละเมิดข้อมูลสุขภาพ 725 ครั้งในปี 2024 การละเมิดเหล่านี้กระทบบันทึกผู้ป่วย 275 ล้านรายการ ตัวเลขนี้สูงที่สุดที่เคยบันทึกในปีเดียว
ค่าเฉลี่ยต้นทุนต่อการละเมิดในภาคสุขภาพแตะ 10.22 ล้านดอลลาร์ในปี 2025 ตาม IBM's Cost of a Data Breach Report ค่าใช้จ่ายครอบคลุมค่าปรับทางแพ่ง ค่าธรรมเนียมทางกฎหมาย การแจ้งเตือนผู้ป่วย การตรวจสอบเครดิต และความเชื่อถือที่สูญเสียไป
ปี 2025 และ 2026 เป็นปีสำคัญสำหรับหน่วยงานที่ครอบคลุมและคู่ค้าทางธุรกิจ การอัปเดตกฎความปลอดภัย HIPAA ที่เสนอในเดือนมีนาคม 2025 จะเพิ่มชุดกฎทางเทคนิคที่ใหญ่ที่สุดนับตั้งแต่ปี 2003
สาเหตุของการละเมิด 725 ครั้งในปี 2024
พอร์ทัล OCR จัดกลุ่มความล้มเหลวในปี 2024 ออกเป็นสี่ประเภท
การแฮ็กและเหตุการณ์ IT เป็นสาเหตุของการละเมิด 74% แรนซัมแวร์ การโจมตีเซิร์ฟเวอร์ และการฉ้อโกงทางอีเมลเป็นประเภทหลัก ผู้โจมตีตอนนี้มุ่งเป้าที่เครือข่ายทั้งหมด การโจมตีครั้งเดียวสามารถดึงบันทึกจากระบบ EHR ทั้งหมดได้ในคราวเดียว
การเข้าถึงและเปิดเผยโดยไม่ได้รับอนุญาต เป็นสาเหตุของการละเมิด 18% การควบคุมการเข้าถึงที่ไม่ดี การใช้งานในทางที่ผิดโดยพนักงาน และข้อผิดพลาดส่งผิดผู้รับล้วนนับรวม
เหตุการณ์จากบุคคลที่สาม คิดเป็น 35% ของการละเมิดปี 2024 ความล้มเหลวเริ่มต้นจากคู่ค้าทางธุรกิจ ไม่ใช่หน่วยงานที่ครอบคลุม Change Healthcare (หน่วยงานของ UnitedHealth Group) เพียงรายเดียวเปิดเผยบันทึกผู้ป่วยมากกว่า 190 ล้านรายการ นั่นคือการละเมิดข้อมูลสุขภาพในสหรัฐฯ ที่ใหญ่ที่สุดที่เคยมี
การโจรกรรมหรือสูญเสียสื่อพกพา เป็นสาเหตุของการละเมิด 8% แล็ปท็อป USB ไดรฟ์ และบันทึกกระดาษที่สูญหายหรือถูกขโมยโดยไม่มีการเข้ารหัส
PHI 18 ประเภทภายใต้ Safe Harbor
วิธี Safe Harbor ของ HIPAA (45 CFR §164.514(b)) กำหนดให้ลบข้อมูลผู้ป่วย 18 ประเภท ทีมส่วนใหญ่รู้รายการนี้ สิ่งที่ยากคือการตรวจจับในระดับขนาดใหญ่
- ชื่อ — ผู้ป่วย สมาชิกในครอบครัว นายจ้าง
- ข้อมูลทางภูมิศาสตร์ — พื้นที่ใดก็ตามที่เล็กกว่าระดับรัฐ
- วันที่ — รับเข้า จำหน่าย เกิด เสียชีวิต (อาจเก็บปีไว้)
- หมายเลขโทรศัพท์
- หมายเลขโทรสาร
- ที่อยู่อีเมล
- หมายเลขประกันสังคม
- หมายเลขบันทึกทางการแพทย์ (รูปแบบแตกต่างตามระบบ EHR)
- หมายเลขสมาชิกแผนสุขภาพ
- หมายเลขบัญชี
- หมายเลขใบรับรองและใบอนุญาต — ทางการแพทย์ DEA รัฐ
- ตัวระบุยานพาหนะ — VIN และหมายเลขทะเบียน
- ตัวระบุอุปกรณ์ — หมายเลขซีเรียลและรหัสอุปกรณ์เฉพาะ
- URL เว็บ
- ที่อยู่ IP
- ข้อมูลชีวมาตร — ลายนิ้วมือและลายเสียง
- ภาพถ่ายใบหน้าเต็มและภาพที่คล้ายกัน
- ID รหัส หรือลักษณะเฉพาะอื่นใด
ประเภทที่ 18 ยากที่สุดในการตรวจจับ รหัสใดก็ตามที่เชื่อมโยงบันทึกกับผู้ป่วยเฉพาะรายต้องถูกลบ แม้จะไม่มีรูปแบบที่กำหนดไว้
สำหรับคู่มือทีละขั้นตอนในการลบ 18 ประเภทจากบันทึกทางคลินิก ดู HIPAA Safe Harbor การระบุตัวตนสำหรับการวิจัยสุขภาพ
กฎใหม่ 5 ข้อในการอัปเดตความปลอดภัยที่เสนอ
การอัปเดตกฎความปลอดภัย HIPAA ที่เสนอ (มีนาคม 2025) เพิ่มหน้าที่ห้าประการ
การตรวจสอบการเข้ารหัสประจำปี: หน่วยงานที่ครอบคลุมต้องยืนยันว่าข้อมูลผู้ป่วยทั้งหมดที่จัดเก็บใช้ AES-256 หรือเทียบเท่า การจัดการกุญแจต้องตรงตามมาตรฐานที่เป็นลายลักษณ์อักษร
ขั้นตอนการระบุตัวตนที่เป็นลายลักษณ์อักษร: ข้อมูลผู้ป่วยที่ใช้ในการวิจัย การฝึก AI หรือการวิเคราะห์ต้องมีขั้นตอนที่เป็นลายลักษณ์อักษร บันทึกนโยบายไม่เพียงพอ ต้องมีบันทึกทางเทคนิคพร้อมหลักฐานการตรวจสอบ
การตรวจสอบความปลอดภัยคู่ค้าทางธุรกิจ: คู่ค้าทางธุรกิจต้องผ่านการตรวจสอบทางเทคนิคเฉพาะก่อนเริ่มงาน เดิมสัญญาจัดการเรื่องนี้โดยไม่มีรายละเอียดทางเทคนิค
การยืนยันตัวตนหลายปัจจัย (MFA): เจ้าหน้าที่ทุกคนที่เข้าถึงข้อมูลผู้ป่วยอิเล็กทรอนิกส์ต้องใช้ MFA ระบบเก่าไม่ได้รับการยกเว้น
การทดสอบการตอบสนองต่อเหตุการณ์: ต้องมีการซ้อมและทดสอบทางเทคนิคประจำปี ทีมต้องเก็บบันทึกผลลัพธ์
บทเรียนจาก Change Healthcare
การละเมิด Change Healthcare (กุมภาพันธ์ 2024) แสดงให้เห็นว่าความเสี่ยงเชิงระบบมีลักษณะอย่างไร Change Healthcare ดูแลธุรกรรม 15,000 ล้านรายการต่อปี เชื่อมต่อผู้ให้บริการ ผู้จ่ายเงิน และร้านขายยาในฐานะศูนย์ชำระบัญชี
การละเมิดเริ่มจากบัญชีการเข้าถึงระยะไกลหนึ่งบัญชี บัญชีนั้นไม่มี MFA ผู้โจมตีเคลื่อนไหวผ่านเครือข่ายเป็นเวลาเก้าวัน จากนั้นจึงปล่อยแรนซัมแวร์
บทเรียนชัดเจน คู่ค้าทางธุรกิจที่มีการเข้าถึงธุรกรรมสุขภาพในวงกว้างเป็นความเสี่ยงสำหรับทุกคู่ค้าที่เกี่ยวข้อง กรอบเดิมไม่ได้สร้างขึ้นสำหรับผู้ให้บริการที่ดูแลธุรกรรมสุขภาพของสหรัฐฯ หนึ่งในสาม
MFA การแบ่งส่วนเครือข่าย และการตรวจสอบคู่ค้าทางธุรกิจในกฎที่เสนอล้วนสืบต้นตอมาจากเหตุการณ์นี้
สำหรับการลบ PHI จากรูปแบบบันทึกเฉพาะโรงพยาบาล ดู การตรวจจับ HIPAA MRN และรูปแบบเฉพาะโรงพยาบาล สำหรับการออกแบบ zero-knowledge ที่ป้องกันข้อมูลผู้ป่วยออกจากเครือข่าย ดู HIPAA-compliant cloud PHI และการออกแบบ zero-knowledge